クラウドストライクが招いた「Windows OSストライク事態」…再発防止策は？

クラウドネイティブベースのセキュリティソリューション
更新過程でWindows OSと衝突
情報セキュリティ専門家
「OS非依存のHWレベル遠隔制御が必要
更新時は十分なテストを先行させるべき」

更新日時 2024-07-23 21:14:07 KST

Googleで優先ソースに追加優先ソースに追加

2024.07.21. 公正経済 — 情報セキュリティソリューション企業クラウドストライク（Crowd Strike）のセキュリティ製品が、更新過程でマイクロソフトのWindows OS（MS Windows OS）と衝突した。これにより、世界中の主要システムが停止し、さまざまな被害が発生した。情報セキュリティ専門家は、同様の事件の再発防止策として、OSに依存しないハードウェアレベルの遠隔制御ソリューションの導入や、更新実施前の十分なテストの実施などの対策を提示した。

クラウドストライクは19日、自社のクラウド基盤ソリューションのうちファルコンセンサー（Falcon Sensor）製品をアップデートする過程で、当該製品の一部ファイルがWindows OSと衝突を起こした。

事態を引き起こしたファルコンセンサーは、クラウドに接続されたWindows OSへの攻撃を遮断すると同時に、脅威を迅速に検知するために発生する活動をキャプチャーし記録する役割を担うエンドポイント検知・対応（Endpoint Detection & Response、EDR）製品だ。

影響を受けたWindows OSベースのシステムは、致命的なエラーにより動作停止時に表示される「ブルースクリーン」を出力し、異常終了した。この事態により、世界中のWindows OSベースのシステムが誤作動し、交通、医療、物流、金融、ITなど様々な産業分野でサービス停止が発生している。

ジョージ・クルツクラウドストライク最高経営責任者（CEO）は、X（旧Twitter）で今回の事態について「MS Windowsを使用するホストに対するコンテンツ更新で欠陥が発生した。セキュリティ事故やサイバー攻撃ではない」と述べた。その後、米NBCとの対談では「事態で被害を受けたすべての方に深くお詫び申し上げる。顧客と協力し、サービスの復旧に努めている」と語った。

韓国政府は、事態発生直後から状況把握と対応策の策定に乗り出した。

科学技術情報通信部は、韓国MSとともに国内クラウドサービス障害の正確な原因および国内の被害状況を把握中だと明らかにした。

また、クラウドストライクのソフトウェアが主要な障害要因と判明したため、韓国インターネット振興院（KISA）と協力し、Windows OSのブルースクリーン問題に対する緊急対応チームを編成し、緊急対応に乗り出した。

科学技術情報通信部とKISAは、保護国＆KrCERT/CCウェブサイト（www.boho.or.kr）において問題のある更新ファイルを削除する緊急措置を案内し、これに関連して発生し得るサイバー攻撃に対する監視を強化している。

現在、国内の10社で被害が確認され、システム復旧が進行中または完了している。一方、放送通信発展基本法に基づく災害障害時の報告義務がある主要通信事業者26社は、今回の事態で被害が発生しなかった。

主要通信事業者は、SKT、KT、LGU+などの基幹通信11社、ネイバー、カカオ、Googleなどの付加通信7社、SKB、ネイバークラウドなどのデータセンター8社などだ。

情報保護の専門家らは、今回の事態について迅速な復旧策を講じるべきだと強調した。また、クラウドを利用しない環境でもこれと似た事件がいつでも発生し得るだけに、この事態が「クラウド不信」につながらないようにすべきだとの意見を出した。

イ・ジンサイバーセキュリティ研究所長は、今回の事態について「今回の事件の課題は、すでにブルースクリーン障害が発生している各システムを安全モードで起動し、直接目の前で、またはリモートコンソールモードでアクセスして手動で復旧しなければならない点である」と述べた。彼は「既存のサーバーを含むIT機器メーカーがIPMIやvProなどのハードウェアレベルの遠隔制御ソリューションを構築したことが、どれほど大きな価値を持つのかを改めて実感した契機になっただろう」と見ている。

続いて、国内の公共行政サービスや主要インフラサービスで大きな被害が発生しなかった事実について「多くの主要インフラが内部ネットワークで運用され、独自の更新サーバーを通じて不定期に更新を行っているため、今回の事態の原因であるリアルタイム更新が行われず、影響が少なかった」と分析した。また、「既存の国産セキュリティソリューションを導入した状況で同様の問題を経験したことがあるため、更新を適用する前に実際の業務システムに類似したテストベッドで先に適用し、影響を評価した上で適用する方式を採用している機関が多い」と評価した。

イ・ジン所長は「今回の事態により、クラウドベースのEDR導入を忌避するのは非合理的な結論だ」と述べ、今回の事件がクラウド不信の根拠になることに対して否定的な立場を示した。

彼は「今回の事件を通じて、サプライヤーであれ顧客であれ、更新の適用前にまず十分なテストを実施すべきだという考えを持つようになり、ハードウェアベースの遠隔管理ソリューションが活性化すれば、危機をチャンスに変えることになるだろう」と述べた。

また、「ある企業の過ちの結果が、サプライチェーン攻撃を受けた場合の結果と完全に同じ様相を示した」とし、「これまで国際的に学界、関係、業界で語られてきたサプライチェーン攻撃の破壊的な結果の例として研究される事例」と評価した。

国内のサイバーセキュリティソリューション企業代表も電話で「クラウドベースで提供される情報セキュリティソリューションの問題が、誤ってクラウド全体への不信につながってはならない。自社構築型（オンプレミス）システムでも同様の問題が十分に発生し得る。重要な点は、すべての問題を事前に予防できない場合、事故発生時に迅速に復旧することだ」と述べた。

同氏は、今回の事態の再発防止策として「機関、企業ごとにそれぞれの目的に合った多様なシステムを構成、運用しているだけに、各システムの回復力（Resilience）を強化するソリューションの導入が必要だ」と述べた。